12306 获取票接口难道没有防重放吗

[hackingwu]

12306 获取票接口难道没有防重放吗？ 如果有，那刷票软件是怎么破解他的防重放的呢？

[bigdogbigpig]

获取票是哪个接口？

[kop1989]

刷票软件只是能让你更高效的操作和部分操作自动化而已。
相当于一个假前端，在业务上并没有“作弊”

[hackingwu]

@kop1989 ...假前端 哪也得知道前端是怎么实现的把？ 那他是通过什么办法来知道的？

[jinliming2]

刷票软件不算重放吧？

[nulIptr]

不需要破解，只需要稳定的网络+selenium 就行了，你上你也行

[kop1989]

@hackingwu 简单点的网站按 F12 就可以。困难的可以搜索爬虫相关技能

[glaucus]

这么大的利益，破解了前端的一些加密规则也不奇怪吧，就跟抖音这些接口一样

[AV1]

@hackingwu 刷票软件不需要知道接口是怎样的，只需模拟用户操作网页、APP 就行了。

[randyo]

每个浏览器都是一个刷票软件😗

[Nekonico]

@DOLLOR 验证码怎么办？

[eason1874]

现在的爬虫可以模拟用户操作啊， 像谷歌爬虫都是拿你 JS 执行后的网页内容。

刷票软件唯一需要破解的是验证码，其他都是模拟操作就行了。

[jugelizi]

早些年按键精灵不也是

[hahiru]

@Nekonico #10 他们雇了很多大妈在打码。真事。

[wuwukai007]

有打码平台，还有就是用 ts 可以，就是有一定失败率

[also24]

我觉得你对 “重放” 是不是有一定的误解？

“防重放” 一般防的是第三方监听了一个 “有效请求” 之后，通过再次发送这个请求来达到一些其它的目的。

举例：
张三 使用某银行 APP，向 李四 转账了 100 元，银行 APP 调用某接口，正常的完成了这个请求。

但是这个请求被 王麻子 通过中间人攻击监听到了；
> 此处为防监听，也就是 https 常见的工作内容）
> 王麻子由于未持有银行域名的 https 证书，未能完成监听

于是王麻子把请求原样发送了 3 遍，期望张三给李四再转 300 元；
> 此处为防重放，一个活儿不能干多次
> 由于银行记录了请求 ID，直接忽略了这 3 次请求

王麻子又试着把请求中的收款人改成自己，期望能收到张三的转账；
> 此处为防篡改，保证执行的内容和发送者发送的一致
> 银行校验请求签名不一致，直接拒绝了这个请求，同时把请求留档给了安全部门



而抢票软件干的事情相当于什么？
张三 使用某银行 APP，向 李四 转账了 100 元，转账 ID 01。
张三 使用某银行 APP，又向 李四 转账了 100 元，转账 ID 02。
张三 使用某银行 APP，又向 李四 转账了 100 元，转账 ID 03。

这三个请求是互相独立的，不叫 “重放” ，只是恰好业务一致而已。

[pythonee]

@also24 思路清晰
抢票软件本质上应该是个按键精灵吧